我可以允许任何SAML身份提供程序出现在我的站点上吗？

Question

我有一个Web应用程序，我想允许我的用户通过SAML登录。我想允许他们通过提供IdP登录URL、注销URL、证书等来配置他们的身份提供者，或者只是一个元数据url。

此外，我的一些客户想要设置和使用他们自己的内部身份提供者。

我的问题是，一旦交换了密钥，验证了签名等，我如何才能相信身份提供者是安全的？当SAML响应进来时（特别是通过IdP发起的SSO），我如何知道NameID元素中的电子邮件地址与想要登录的合法用户有关？是什么阻止他们发送我自己的电子邮件地址以站点管理员身份登录？

我已经阅读了很多SAML 2.0规范、这里的答案和博客文章，但我还没有看到这个问题的具体解决方案。

Answer 1

无法更改SAML标记，因为它已签名。

最终，由你来检查所有这些IDP。

因此，联合是一个手动过程。

如果你结盟，你就信任。

Answer 2

在进入你的问题之前，我认为清楚SSO身份验证流程很重要。

对于SAML 2.0，涉及两方，即身份提供者（IdP）和服务提供者（SP）。他们使用协议endpoint和证书进行反向通道（服务器到服务器）通信。

也就是说，您有各种各样的网络层进程来确保通信过程是安全的，不会发生中间人攻击。

然后回到你原来的问题，如果正确的话，我认为它包含以下两个主题：

1. SAML 2.0元数据
2. SAML 2.0属性映射

通过提供IdP登录URL、注销URL、证书等或仅提供元数据URL来配置其身份提供程序。

这些都是SAML 2.0所需的元数据，因此您可以自己配置它，或者信任您的合作伙伴以您的方式（通过in your way我的意思是不同的SAML 2.0联合服务器有自己的一组元数据，但通常它们应该是相同的）。

一旦交换了密钥，验证了签名等，我如何相信身份提供者是安全的？当SAML响应进来时（特别是通过IdP发起的SSO），我如何知道NameID元素中的电子邮件地址与想要登录的合法用户有关？是什么阻止他们发送我自己的电子邮件地址以站点管理员身份登录？

>

IdP必须是安全的，就像他们被黑客攻击一样（社会工程），他们可以登录到你的应用程序。

SAML属性映射，除了SAML_SUBJECT之外，您还可以使用其他属性来确定SAML_SUBJECT的角色（如果我们可以谈论配置），或者您可以将预定义的角色映射到该用户（SAML_SUBJECT）来确定角色。

由于SAML只是用于身份验证和为用户交换受信任的信息，因此如何使用双方同意的SAML有效负载中的信息需要由SP应用程序实现。

关于@nzpcmad评论的令牌操作，我认为这是可能的，当PingFederate通过OpenToken适配器与SP应用程序对话时，这就是PingFederate中所谓的契约履行。Okta和OAuth0都有类似的概念。

希望这能回答你的问题。